Seguridad AI SaaS / Método de evaluación
Hacer que el alcance y las pruebas sean inspeccionables.
Este método es compatible con nuestro Auditoría de seguridad de AI SaaS. El alcance del compromiso identifica las pruebas, el acceso, la evidencia y los entregables aplicables. Esta página es una descripción del proceso, no una evaluación de ningún producto.
1. Acuerde los límites antes de realizar la prueba
Registre la versión del producto, el entorno, los dominios y API de destino, la configuración del modelo, las cuentas permitidas y los sistemas de terceros. Obtenga autorización por escrito y acuerde ventanas de prueba, condiciones de detención, manejo de datos y contactos de escalada.
Utilice datos sintéticos o aprobados y pruebas acotadas. La infraestructura de terceros necesita su propia autorización cuando corresponda. La revisión del código, la revisión de la configuración, las pruebas de aplicaciones y la evaluación de la IA se incluyen únicamente según lo acordado; Los componentes inaccesibles siguen siendo una limitación explícita.
2. Separar observaciones de declaraciones
- Probado: una entrada registrada, un entorno, una configuración y un resultado observado respaldan el hallazgo.
- Revisado: El código, la configuración o los documentos admiten una conclusión más limitada dentro del acceso disponible.
- Declarado: un proveedor o propietario de un producto declara una práctica que Rubrex no pudo inspeccionar de forma independiente.
- No evaluado: el cheque fue excluido, no disponible o no concluyente. No debe reportarse como un pase.
Para una reclamación de uso de capacitación, identifique qué datos, proveedor, configuración de cuenta, términos y período de tiempo cubre la evidencia. Una revisión de la configuración no puede establecer todas las acciones internas de un proveedor externo.
3. Priorizar, corregir y volver a probar
Priorizar los hallazgos utilizando el impacto demostrado, los usuarios o datos afectados, los requisitos previos y el entorno evaluado. Conserve la evidencia original y registre la solución, las condiciones de nueva prueba, el resultado y la incertidumbre restante. Un riesgo aceptado permanece visible como un riesgo aceptado.
Evaluar la calidad por separado utilizando casos de referencia acordados y criterios de puntuación. Informe la cobertura de la muestra y los límites conocidos en lugar de convertir un pequeño conjunto de pruebas en una afirmación de precisión universal.
Esquema del informe ilustrativo / Auditoría no completada
Qué contiene un informe de evaluación
Este esquema muestra la estructura prevista. No contiene resultados de clientes, productos evaluados ni insignias de aprobación.
- Resumen ejecutivo: La decisión que se apoya, hallazgos importantes y próximas acciones.
- Alcance: versión del producto, entorno, fechas, objetivos autorizados, criterios y exclusiones.
- Mapa de flujo de datos: entrada del cliente → aplicación → recuperación o herramientas → proveedor de modelo → salida, con registros, análisis, almacenamiento, retención y rutas de eliminación identificadas.
- Búsqueda de registros: identificador, componente afectado, tipo de evidencia, comportamiento esperado versus observado, impacto, justificación de la gravedad y remediación.
- Resultados de la evaluación: casos, método de calificación, hallazgos de calidad y límites de cobertura.
- Registro de nueva prueba: versión actualizada, comprobaciones repetidas, resultados y problemas no resueltos.
- Resumen público, si se acuerda: Se eliminaron declaraciones admitidas con detalles confidenciales de implementación.
Los detalles de reproducción, los secretos y la información que podrían exponer a los clientes pertenecen al informe técnico restringido, no a una página de insignia pública.
Requisitos para cualquier insignia de evaluación de Rubrex
La redacción propuesta para la insignia es "Prácticas de seguridad y datos evaluadas por Rubrex". Una insignia no se emite simplemente porque se compró una evaluación. La emisión requiere una revisión completa y un registro de verificación publicado.
- Se debe verificar la autoridad del propietario del producto y el producto/dominio evaluado.
- Las comprobaciones requeridas y los criterios de aprobación deben acordarse antes de conocer los resultados. Los controles requeridos no se pueden eliminar silenciosamente para obtener un pase.
- Los hallazgos críticos o de alta seguridad no resueltos impiden una credencial activa. Otros hallazgos y exclusiones deben divulgarse a un nivel seguro.
- Cada reclamo de práctica de datos públicos debe tener evidencia de respaldo y un límite claramente establecido. Se omiten las afirmaciones no fundamentadas.
- La corrección se debe volver a probar cuando sea necesario antes de confirmar la elegibilidad. La IA o los resultados del escáner por sí solos no son pruebas suficientes.
- Se debe divulgar cualquier trabajo de ingeniería de Rubrex en el producto evaluado. La evaluación no puede implicar independencia del trabajo que realizamos.
Una credencial debe vincularse a un registro actual
El registro de verificación debe identificar el producto y el dominio, el ID de la evaluación, el alcance, la versión evaluada, las fechas, el resumen de evidencia, las limitaciones, la caducidad y el estado. Cualquiera que vea una insignia debe poder verificar ese registro en rubrex.ai.
La validez se limita al alcance y caducidad indicados. Los cambios en los proveedores, los flujos de datos, la autorización, las herramientas modelo u otros controles evaluados requieren una revisión de los reclamos afectados. Una evaluación vencida, suspendida o revocada no se puede mostrar como activa. La renovación requiere evidencia nueva, no solo un cambio de fecha.
La insignia no establece SOC 2, certificación ISO, cumplimiento legal, cero vulnerabilidades o que un producto nunca procese datos de clientes. Una evaluación es una evidencia limitada sobre el sistema probado, no una promesa sobre cada solicitud futura.
Si necesita verificar una evaluación de Rubrex reclamada, envíe la URL del producto y el ID de la evaluación a evals@rubrex.ai. No envíe informes privados ni credenciales a través del formulario de contacto público.
Referencias utilizadas para definir el alcance.
Estas fuentes informan el diseño de la evaluación. No certifican Rubrex ni un producto evaluado. El informe deberá enumerar las versiones y requisitos aplicables efectivamente verificados.
- Estándar de verificación de seguridad de aplicaciones OWASP 5.0.0: una referencia para los requisitos de seguridad de las aplicaciones.
- OWASP Top 10 para aplicaciones LLM y GenAI: referencia para la cobertura de riesgos de aplicación del modelo.
- OWASP Top 10 para aplicaciones agentes: una referencia para el comportamiento de los agentes, las herramientas y los límites de privilegios.